Controllo PNRR Cybersecurity: attuazione e monitoraggio degli obiettivi (Corte dei Conti Sez. contr. gestione Stato n. 17 del 06.02.2024)

Principi di diritto (Massima)
Il controllo sulla gestione dei fondi PNRR, esercitato dalla Corte dei conti ai sensi dell’art. 7, comma 7, d.l. n. 77 del 2021, si sostanzia in una valutazione di economicità, efficienza ed efficacia dell’acquisizione e dell’impiego delle risorse. L’analisi degli scostamenti tra obiettivi pianificati e risultati conseguiti, condotta attraverso i sistemi informativi REGIS e SICR, non costituisce di per sé accertamento di un danno erariale, ma presupposto per l’adozione delle misure consequenziali di cui all’art. 3, comma 6, legge n. 20/1994. La constatazione di un mero ritardo nella realizzazione di singoli interventi non integra una criticità sostanziale, ove il soggetto attuatore abbia attivato procedure di recupero e l’Amministrazione titolare vigili sull’avanzamento delle milestones. Il ritardo nella presentazione dei rendiconti, in particolare, giustifica l’esercizio del potere di segnalazione alle competenti Commissioni parlamentari.

Il Fatto

La Sezione centrale di controllo sulla gestione delle Amministrazioni dello Stato ha esaminato lo stato di attuazione dell’Investimento 1.5 “Cybersecurity”, ricompreso nella Missione 1, Componente 1 del PNRR. L’intervento, del valore complessivo di 623 milioni di euro, è volto a rafforzare la resilienza cibernetica del Paese.

Il Dipartimento per la trasformazione digitale (DTD) opera come Amministrazione titolare delle risorse, mentre l’Agenzia per la Cybersicurezza Nazionale (ACN) è stata individuata quale soggetto attuatore. La Corte ha inviato una nuova nota istruttoria in data 28 novembre 2023 per acquisire elementi aggiornati, in vista della camera di consiglio del 31 gennaio 2024.

La Motivazione della Corte

Il Collegio ha esaminato la documentazione trasmessa dagli Enti, concentrandosi sullo stato di avanzamento dei progetti e sul raggiungimento degli obiettivi intermedi e finali. L’istruttoria ha permesso di verificare l’adozione di misure consequenziali, come l’approvazione del bilancio consuntivo 2022 dell’Agenzia e gli aggiornamenti sul rifinanziamento degli avvisi pubblici per il potenziamento delle capacità cyber delle Pubbliche Amministrazioni.

La Corte ha posto l’accento sull’importanza di un costante monitoraggio dei milestone e target europei, come M1C1-19, M1C1-20 e M1C1-21, la cui scadenza è fissata al dicembre 2024. Particolare attenzione è stata rivolta alle procedure di rendicontazione delle spese, essenziali per garantire la corretta certificazione delle risorse, nonché al rispetto del principio di sana gestione finanziaria.

L’analisi dei dati estrapolati dal sistema REGIS ha evidenziato la presenza di 112 progetti in corso, per un costo ammesso di circa 444,56 milioni di euro, pari a oltre il 70% del valore complessivo dell’investimento. La Corte ha rilevato come la tipologia di spesa si concentri principalmente sull’acquisto o realizzazione di servizi (77,68%), seguita dall’acquisto di beni (21,43%). Il Collegio ha inoltre valutato la sospensione dei termini per alcuni progetti, il cui cronoprogramma è stato prorogato al 2024.

La Sezione ha quindi approvato il rapporto, disponendo la trasmissione alla Presidenza del Consiglio dei ministri, al Ministero dell’economia e delle finanze e alle competenti Commissioni parlamentari. Le Amministrazioni interessate dovranno comunicare, entro quattro mesi, le misure consequenziali adottate per ottemperare agli inviti contenuti nel documento, ai sensi dell’art. 3, comma 6, legge n. 20/1994. Il rapporto è inoltre soggetto all’obbligo di pubblicazione previsto dall’art. 31 d.lgs. n. 33/2013 e sarà inviato alle Sezioni Riunite in sede di controllo. La Corte ha concluso che, pur rilevando ritardi in taluni interventi, non emergono criticità sostanziali nel raggiungimento degli obiettivi, che saranno oggetto di successiva verifica.